Bugbounty-programma's: beloond worden voor het vinden van digitale zwakke plekken
Stel je voor: een bedrijf bouwt een nieuw huis en wil weten of inbrekers er makkelijk in kunnen. In plaats van te wachten tot er daadwerkelijk wordt ingebroken, nodigt het bedrijf professionele slotenmakers uit om te proberen binnen te komen. Vinden ze een raam dat niet goed sluit of een slot dat te kraken is, dan krijgen ze daarvoor een beloning — op voorwaarde dat ze het gebrek eerst melden bij de eigenaar, en er niet zelf misbruik van maken. Dat is in essentie wat een bugbounty-programma is, maar dan voor software, websites en apps in plaats van huizen.
Bij een bugbounty-programma ("bounty" is Engels voor beloning of premie) nodigt een organisatie hackers en beveiligingsonderzoekers uit om actief te zoeken naar kwetsbaarheden in haar digitale systemen. Wie een bruikbaar beveiligingslek vindt en dit netjes en vertrouwelijk meldt, ontvangt daarvoor geld, erkenning of soms allebei. Grote techbedrijven zoals Google en Microsoft, maar ook banken, overheden en kleinere bedrijven, gebruiken inmiddels dit soort programma's om hun software veiliger te maken voordat kwaadwillenden de fouten kunnen misbruiken.
Wat is het precies?
Een bugbounty-programma begint met een organisatie die vaststelt welke systemen — bijvoorbeeld een website, mobiele app of stukje software — opengesteld worden voor onderzoek. Daarbij hoort meestal een duidelijke "scope": een lijst van wat wel en niet onderzocht mag worden, en welke methoden zijn toegestaan. Zo mag een onderzoeker vaak wel proberen in te loggen op een testomgeving, maar niet echte klantgegevens stelen of de dienst plat leggen.
Onderzoekers — vaak "ethical hackers" of "white hat hackers" genoemd, wat staat tegenover kwaadwillende "black hat hackers" — gaan vervolgens op zoek naar kwetsbaarheden. Dat kan van alles zijn: een fout waardoor je bij andermans gegevens kunt, een manier om in te loggen zonder wachtwoord, of een lek waarmee schadelijke code op een server kan worden uitgevoerd.
Vindt iemand zo'n zwakke plek, dan meldt hij of zij dit via een vast proces, meestal met een gedetailleerd technisch rapport en het liefst een "proof of concept": een concrete demonstratie dat het lek werkt. Dit heet "coordinated vulnerability disclosure" (gecoördineerde melding van kwetsbaarheden) — de vinder houdt het lek geheim totdat de organisatie de kans heeft gehad het te repareren.
Het bedrijf beoordeelt de melding, bevestigt of het probleem echt is, en kent op basis van de ernst een beloning toe. Hoe groter de impact — bijvoorbeeld toegang tot gevoelige data van miljoenen gebruikers — hoe hoger meestal de premie, die kan variëren van enkele tientjes tot honderdduizenden euro's. Veel programma's gebruiken hiervoor platforms zoals HackerOne, Bugcrowd of het Europese Intigriti, die als tussenpersoon fungeren tussen bedrijven en onderzoekers, meldingen beheren en uitbetalingen regelen.
Wat wil men ermee bereiken?
Het achterliggende idee is simpel: geen enkele interne beveiligingsafdeling kan alle mogelijke fouten in complexe software vinden. Door duizenden onafhankelijke onderzoekers wereldwijd de kans te geven mee te zoeken, ontstaat een veel bredere en diversere blik op mogelijke zwakke plekken dan een klein intern team ooit zou kunnen bieden.
Daarnaast is er een economisch argument. Op de zwarte markt worden onbekende kwetsbaarheden — zogeheten "zero-days", omdat de fabrikant nul dagen de tijd heeft gehad om ze te repareren — soms verhandeld voor forse bedragen aan criminelen of inlichtingendiensten. Door zelf een aantrekkelijke, legale beloning te bieden, hopen bedrijven te voorkomen dat onderzoekers hun vondsten liever illegaal verkopen.
Bugbounty-programma's passen ook in een bredere trend waarbij bedrijven kwetsbaarheden liever vroeg en gecontroleerd ontdekken dan pas nadat ze al zijn misbruikt bij een hack of datalek. Een gemeld lek kost doorgaans veel minder — in geld, reputatieschade en juridische gevolgen — dan een lek dat eerst tot een incident heeft geleid.
Voorbeelden uit de praktijk
Een van de eerste bekende programma's kwam van Netscape, dat in 1995 al een beloning uitloofde voor bugs in zijn webbrowser. Het concept bleef daarna lange tijd een uitzondering, tot grotere techbedrijven het serieus oppakten.
Google lanceerde in 2010 zijn Vulnerability Reward Program, dat sindsdien miljoenen dollars aan onderzoekers heeft uitgekeerd voor kwetsbaarheden in onder meer Chrome, Android en andere Google-diensten. Facebook (nu Meta) volgde in 2011 met een eigen programma dat inmiddels ook Instagram en WhatsApp dekt.
Microsoft breidde vanaf 2013 stap voor stap eigen bugbounty-programma's uit, onder meer voor Windows, Azure en Microsoft 365, met premies die voor kritieke kwetsbaarheden kunnen oplopen tot boven de honderdduizend dollar. Apple opende in 2016 een uitnodigingsgebaseerd programma voor iOS en macOS, dat het in 2019 openstelde voor alle onderzoekers, met beloningen tot boven het miljoen dollar voor de meest ernstige exploitketens.
Ook overheden experimenteren ermee: het Amerikaanse ministerie van Defensie organiseerde in 2016 "Hack the Pentagon", het eerste federale bugbounty-programma van de VS, waarbij onderzoekers legaal overheidssystemen mochten testen. In Nederland hanteren veel organisaties, waaronder de rijksoverheid, het verwante principe van "coordinated vulnerability disclosure" (voorheen "responsible disclosure" genoemd), vaak in combinatie met een beloning voor gemelde kwetsbaarheden.
Hoe ver is de techniek?
Bugbounty-programma's zijn geen experimentele technologie meer, maar een gevestigde praktijk binnen de cybersecuritywereld. Platforms als HackerOne en Bugcrowd rapporteren jaarlijks tientallen miljoenen dollars aan uitbetalingen aan onderzoekers wereldwijd, en het aantal bedrijven met een eigen programma groeit gestaag, van techreuzen tot banken, ziekenhuizen en overheidsinstanties.
Toch kent het model duidelijke grenzen en uitdagingen. Niet elke melding is bruikbaar: onderzoekers sturen ook regelmatig rapporten in over zaken die geen echt beveiligingsrisico vormen, wat voor bedrijven veel tijd kost om te beoordelen ("triage"). Er is bovendien kritiek dat sommige bedrijven programma's vooral inzetten voor het imago, met beloningen die te laag zijn om serieuze onderzoekers te motiveren, of met voorwaarden die onderzoekers juridisch kwetsbaar maken.
Een ander spanningsveld is de concurrentie met de illegale markt: bedrijven zoals Zerodium kopen onbekende kwetsbaarheden op voor gebruik door overheden en inlichtingendiensten, vaak tegen veel hogere bedragen dan reguliere bugbounty's bieden. Dit blijft een terugkerend discussiepunt over of legale programma's voldoende financiële prikkel bieden om onderzoekers weg te houden van dat soort grijze of illegale markten.
Ook juridische onduidelijkheid speelt onderzoekers soms parten: niet in elk land is het wettelijk gezien altijd volledig duidelijk wanneer het testen van andermans systemen, zelfs met goede bedoelingen, toegestaan is. Duidelijke scope-afspraken en "safe harbor"-clausules — toezeggingen dat een bedrijf geen juridische stappen onderneemt tegen onderzoekers die zich aan de regels houden — zijn daarom een belangrijk en nog altijd verbeterend onderdeel van veel programma's.
Wie werken eraan?
Naast de grote techbedrijven zelf — zoals Google, Microsoft, Apple, Meta en Amazon, die stuk voor stuk eigen programma's beheren — spelen gespecialiseerde platforms een centrale rol. HackerOne en Bugcrowd, beide opgericht in de Verenigde Staten in 2012, behoren tot de grootste tussenpersonen wereldwijd. Het Belgische Intigriti en het Franse YesWeHack zijn belangrijke Europese spelers die specifiek inspelen op Europese wet- en regelgeving, waaronder privacywetgeving zoals de AVG.
Ook overheidsinstanties zijn betrokken. In Nederland speelt het Nationaal Cyber Security Centrum (NCSC) een rol bij het opstellen van richtlijnen voor gecoördineerde kwetsbaarheidsmelding, en stichtingen zoals het Dutch Institute for Vulnerability Disclosure (DIVD) zetten zich vrijwillig in om kwetsbaarheden bij Nederlandse organisaties te melden. In de Verenigde Staten heeft het ministerie van Defensie met programma's als "Hack the Pentagon" een voorbeeldrol vervuld voor andere overheidsdiensten.
De onderzoekersgemeenschap zelf is sterk internationaal: individuele "bug hunters" over de hele wereld, van hobbyisten tot fulltime professionals, vormen de drijvende kracht achter de gevonden kwetsbaarheden, vaak georganiseerd via de eerdergenoemde platforms.